Какие сервисы относятся к политике конфиденциальности?

Каждый встроенный сторонний сервис, который обрабатывает персональные данные — аналитика, реклама, шрифты, карты, чат, CDN, хостинг — должен быть указан в политике конфиденциальности.

Политика конфиденциальности и баннер согласия отвечают на два разных вопроса. Баннер регулирует, может ли служба вообще загружаться (согласие по § 25 TDDDG). Политика конфиденциальности выполняет обязанность информирования по ст. 13 GDPR — она должна называть и службы, работающие не на основании согласия: хостинг, CDN, серверный спам-фильтр, доставку шрифтов. Служба, которой не нужен баннер, всё же может относиться к политике конфиденциальности.

Сведения по каждой службе следуют фиксированной схеме: наименование и адрес поставщика, цель обработки, правовое основание (согласие, договор, законный интерес), категории обрабатываемых данных, срок хранения, передаются ли данные в третью страну и куда и на каком основании, а также права субъекта данных, включая отзыв. Если один из этих пунктов отсутствует, политика в этой части неполна — и это самостоятельное, наказуемое штрафом нарушение, независимо от того, было ли допустимо само встраивание.

Самая частая ошибка — устаревший список. Службы добавляются через плагины, Tag Manager или обновление темы без соответствующего обновления политики конфиденциальности. И наоборот, там часто ещё стоят инструменты, давно удалённые. Прагматичная сверка: загрузите страницу в приватном окне, запишите на вкладке «Сеть» все сторонние хосты и сверьте их с политикой конфиденциальности — как минимум после каждого крупного изменения сайта.

Это риск?

Ст. 13 GDPR требует сведений о цели, правовом основании, получателях, сроке хранения и передаче в третьи страны. Неполная политика конфиденциальности является самостоятельным нарушением — независимо от того, разрешено ли само встраивание.

Что вы можете сделать

• Составьте полный перечень всех встроенных сервисов (в том числе тех, что поступают через плагин или менеджер тегов).
• Для каждого сервиса: добавьте поставщика, цель, правовое основание, срок хранения, страну получателя.
• Поддерживайте политику конфиденциальности в актуальном состоянии при каждом изменении сайта.
• Регулярно сверяйте, соответствуют ли фактически загруженные сервисы политике конфиденциальности.

Частые вопросы

Нужно ли указывать в политике конфиденциальности также хостинг и CDN?

Да. Хостинг-провайдер и CDN обрабатывают IP-адреса посетителей и являются получателями по смыслу ст. 13 GDPR. Баннер согласия им не нужен, но они относятся к политике с указанием цели, правового основания и при необходимости передачи в третью страну.

Достаточно ли генератора политики конфиденциальности?

Как отправная точка — да. Сгенерированные тексты охватывают стандартные службы, но их нужно адаптировать к фактически используемым инструментам и поддерживать в актуальном состоянии. Генератор не заменяет ни инвентаризацию, ни юридическую проверку.

Что происходит при неполной политике конфиденциальности?

Это самостоятельное нарушение GDPR по ст. 13, за которое надзорные органы могут наложить штраф — даже если сама обработка данных законна. На практике сначала на первом плане указания и требования об устранении.

Как часто нужно проверять политику конфиденциальности?

После каждого изменения, добавляющего или удаляющего службы, и дополнительно с фиксированной периодичностью (например, раз в полгода). Для рутинной проверки достаточно краткой сверки сторонних хостов, загруженных на вкладке «Сеть», с политикой.

Как помогает consentglass

Бесплатная проверка анализирует предоставленный HTML и показывает, какие сервисы встроены, обнаружен ли баннер cookie и есть ли ссылки на конфиденциальность и контактные данные — с классификацией для каждого вывода. Не заменяет юридическую консультацию.